Chatkontrolle ist zurück: Was die EU-Verlängerung bis April 2028 für dich bedeutet
Nach monatelangem Tauziehen zwischen EU-Parlament, Rat und Kommission ist es entschieden: Die sogenannte Chatkontrolle kehrt zurück. Sowohl das EU-Parlament als auch der Rat der EU haben einer Verlängerung der Ausnahmeregelung bis zum 3. April 2028 zugestimmt. Was das konkret bedeutet, wen es betrifft und warum die Diskussion damit noch lange nicht vorbei ist, erklären wir in diesem Beitrag.
Was ist eigentlich passiert?
Die ursprüngliche Ausnahmeregelung stammt aus dem Jahr 2021 und erlaubt es großen Plattformbetreibern wie Google, Meta und Microsoft, ihre Nutzerkommunikation freiwillig auf Missbrauchsdarstellungen von Kindern zu durchsuchen – obwohl ein solches automatisiertes Scannen eigentlich gegen geltendes EU-Datenschutzrecht verstößt. Diese befristete Ausnahme lief am 3. April 2026 aus, weil sich das EU-Parlament gegen eine erneute Verlängerung stellte. Stattdessen sollte eine dauerhafte, grundrechtssichere Regelung ausgearbeitet werden.
Am 2. Juli 2026 beschloss der Rat der EU seine Position, die Ausnahmeregelung bis zum 3. April 2028 wieder einzusetzen. Am 9. Juli 2026 stimmte auch das EU-Parlament zu – allerdings auf ungewöhnlichem Weg: Eine Ablehnung hätte eine absolute Mehrheit von 361 Stimmen benötigt, die trotz einer knappen Mehrheit der Gegenstimmen (314 zu 276) nicht erreicht wurde. Damit gilt der Vorschlag als angenommen.
Was genau dürfen die Anbieter tun?
Wichtig zu verstehen: Es handelt sich weiterhin um die freiwillige Variante, oft „Chatkontrolle 1.0″ genannt. Es gibt keine gesetzliche Pflicht zum Scannen, sondern lediglich eine Erlaubnis für Unternehmen, dies ohne Verstoß gegen Datenschutzregeln zu tun. Bevor eine Meldung an Strafverfolgungsbehörden geht, muss ein Mensch die automatisiert erkannten Inhalte verifizieren, um Falschmeldungen zu vermeiden.
Ausdrücklich nicht erlaubt ist ein clientseitiges Scannen (Client-Side-Scanning), also eine Prüfung von Inhalten direkt auf dem Endgerät, bevor diese verschlüsselt werden. Das Parlament hat diese Möglichkeit in seinen Änderungsanträgen explizit ausgeschlossen.
Wen betrifft die Regelung – und wen nicht?
Entscheidend ist, ob ein Dienst echte Ende-zu-Ende-Verschlüsselung (E2EE) nutzt:
| Status | Dienste |
|---|---|
| Weitgehend verschont | Signal, WhatsApp, Threema, iMessage, Wire – standardmäßige Ende-zu-Ende-Verschlüsselung, der Anbieter kann Inhalte technisch nicht einsehen |
| Betroffen | Klassische E-Mail-Anbieter wie Gmail und Outlook, Instagram (seit Mai 2026 ohne DM-Verschlüsselung), Discord, Snapchat, Cloud-Speicher wie iCloud oder Google Drive |
| Sonderfall | Telegram – nur explizit gestartete „geheime Chats“ sind E2E-verschlüsselt, Standardchats laufen über das unternehmenseigene MTProto-Protokoll |
Wichtig für Unternehmen: Auch bei Anbietern mit verschlüsselten Chats können andere Funktionen desselben Dienstes – etwa Cloud-Backups oder öffentliche Beiträge – unverschlüsselt und damit potenziell vom Scanning betroffen sein.
Der eigentliche Streitpunkt: Chatkontrolle 2.0
Die jetzt verlängerte Regelung ist nur die Fortführung des Status quo. Der eigentliche Machtkampf dreht sich um die geplante dauerhafte CSA-Verordnung, bekannt als „Chatkontrolle 2.0″. Hier ging es zeitweise um eine verpflichtende, anlasslose Scan-Pflicht für alle Anbieter inklusive Client-Side-Scanning – ein Szenario, gegen das sich Datenschützer, Sicherheitsexperten und Teile des Parlaments vehement wehren. Diese Grundsatzfrage ist mit der aktuellen Verlängerung um zwei Jahre vertagt, aber keineswegs beantwortet.
Was heißt das für dich und dein Unternehmen?
Auch wenn Ende-zu-Ende-verschlüsselte Messenger vorerst geschützt bleiben, lohnt sich ein Blick auf die eigene Kommunikationsinfrastruktur: Prüfe, welche Dienste dein Unternehmen einsetzt und ob diese tatsächlich durchgängig verschlüsselt sind – gerade bei Cloud-Backups und Groupware-Lösungen lohnt ein zweiter Blick. Sensibilisiere dein Team, dass „Ende-zu-Ende-verschlüsselt“ nicht automatisch für den gesamten Dienst gilt, sondern oft nur für einzelne Funktionen. Und bleib am Ball: Die Debatte um Chatkontrolle 2.0 wird die kommenden zwei Jahre prägen und könnte deutlich weitreichendere Folgen für die IT- und Kommunikationssicherheit haben als die jetzige Übergangslösung.
Wenn du unsicher bist, wie es um Datenschutz und Verschlüsselung in deiner IT-Infrastruktur steht, unterstützen wir von LK IT Solutions dich gerne dabei, deine Systeme zu prüfen und rechtssicher aufzustellen. Sprich uns einfach an – über unsere Kontaktseite erreichst du uns direkt.
Häufige Fragen zur Chatkontrolle
Was ist die Chatkontrolle konkret?
Eine EU-Ausnahmeregelung, die es Plattformbetreibern wie Google, Meta oder Microsoft freiwillig erlaubt, unverschlüsselte Kommunikation automatisiert auf Missbrauchsdarstellungen von Kindern zu durchsuchen, obwohl dies eigentlich gegen EU-Datenschutzrecht verstößt.
Wie lange gilt die neue Regelung?
Die verlängerte Ausnahmeregelung ist bis zum 3. April 2028 befristet.
Werden auch verschlüsselte Messenger wie WhatsApp oder Signal gescannt?
Nein. Echte Ende-zu-Ende-Verschlüsselung bleibt von der Regelung ausgenommen, da ein Client-Side-Scanning auf dem Endgerät ausdrücklich nicht erlaubt ist.
Was unterscheidet Chatkontrolle 1.0 von Chatkontrolle 2.0?
Chatkontrolle 1.0 ist die jetzt verlängerte, freiwillige Regelung ohne gesetzliche Pflicht. Chatkontrolle 2.0 bezeichnet den weiterhin diskutierten Entwurf für eine dauerhafte, möglicherweise verpflichtende CSA-Verordnung mit Scan-Pflicht für alle Anbieter.
Quellen: Rat der Europäischen Union (Pressemitteilung vom 02.07.2026), Europäisches Parlament (Pressemitteilung vom 06.07.2026), Legislativverfahren 2025/0429(COD)
